[發明專利]一種在網絡設備上防止用戶特定包攻擊的方法

無效

• 申請號: 200610159663.3
• 申請日: 2006-09-30
• 公開（公告）號: CN101155034A
• 公開（公告）日: 2008-04-02
• 發明（設計）人: 王軍
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L29/06;H04L12/56
• 代理公司: 北京安信方達知識產權代理有限公司
• 代理人: 龍洪;霍育棟

1.一種在網絡設備上防止用戶特定包攻擊的方法，所述網絡設備具有控制平面、以及將用戶報文轉發到控制平面的轉發平面，其特征在于，所述方法包括如下步驟：

(1)控制平面接收用戶特定包，定時檢測并記錄所述用戶特定包的流量；

(2)當定時檢測發現所述特定包的流量超過設定閥值時，控制平面以源MAC地址為關鍵字、以限制帶寬和報文類型為參數增加帶寬限制表；

(3)轉發平面收到需要上送控制平面的特定包后，提取特定包中的源MAC地址和報文類型，并依據源MAC地址查找帶寬限制表，如果查到，則根據報文類型獲取帶寬限制表中相應的限制帶寬信息；

(4)轉發平面根據限制帶寬信息對用戶特定包進行帶寬限制，將所述特定包轉發到控制平面。

2.如權利要求1所述的方法，其特征在于，所述特定包是ARP、或RIP、或OSPF、或IGMP、或PPP-ECHO、或PPPOE-DISCOVERY、或UDP報文。

3.如權利要求1所述的方法，其特征在于，所述帶寬限制表至少包括源MAC地址、報文類型、和限制帶寬信息，其由控制平面生成，存儲在控制平面和轉發平面都能訪問的共享存儲區。

4.如權利要求1所述的方法，其特征在于，步驟(1)中是利用一個定時器進行定時，在定時到達時開始檢測用戶特定包的流量。

5.如權利要求1所述的方法，其特征在于，步驟(2)中所述閾值，是根據控制平面硬件的處理能力和具體業務的需求，由管理人員根據情況預先設定。